برنامهٔ گزارش باگ و پاداش امنیتی

شدت بر اساس اثر واقعی روی مشتریان و پلتفرم تعیین می‌شود، نه بر اساس نام نوع آسیب‌پذیری. یک XSS که فقط در صفحهٔ خود مهاجم اجرا می‌شود اثر کمی دارد، اما همان XSS در صفحه‌ای که مدیران یا مشتریان دیگر می‌بینند می‌تواند خطرناک باشد. چهار پرسش اصلی را بررسی می‌کنیم.

در یک پلتفرم ابری، بعضی دسته‌های آسیب‌پذیری اثر بزرگ‌تری از وب‌سایت معمولی دارند، چون مرز میان مشتریان و دسترسی به زیرساخت را تهدید می‌کنند. جدول زیر نمونه‌هایی از هر سطح را نشان می‌دهد؛ سطح نهایی هر گزارش پس از بازتولید تعیین می‌شود.

اگر وقت محدودی دارید، روی بخش‌هایی تمرکز کنید که مستقیم به دارایی مشتریان وصل‌اند. نخست، مرز میان حساب‌ها: هر جایی که شناسهٔ یک سرور، دیتابیس، دامنه یا باکت ذخیره‌سازی در درخواست می‌آید، باید بررسی شود که مالکیت آن واقعاً کنترل می‌شود یا نه. دوم، کیف پول و صورت‌حساب: شارژ، کسر ساعتی، بسته‌های ترافیک و ارتقای پلن.

سوم، بخش‌هایی که به زیرساخت فرمان می‌دهند: ساخت و حذف سرور، قواعد فایروال، شبکهٔ خصوصی، کنسول و بکاپ. خطا در این بخش‌ها می‌تواند از یک حساب به منابع حساب دیگر برسد. چهارم، احراز هویت: ورود با رمز و کد یک‌بارمصرف، بازیابی رمز، نشست‌ها و توکن‌های API. یافته‌ای که در یکی از این چهار حوزه اثر واقعی داشته باشد، معمولاً در سطح بالا یا بحرانی قرار می‌گیرد.

تضمین ما سه چیز است: گزارش شما در زمان‌های اعلام‌شده در سیاست پاسخ می‌گیرد، اگر با حسن‌نیت و طبق قواعد عمل کرده باشید پیگرد قانونی نمی‌شوید، و اگر بخواهید نامتان در قدردانی می‌آید. پاداش مالی تضمین نیست و برای یافته‌های بحرانی، پس از ارزیابی اثر واقعی و کیفیت گزارش، به‌صورت نقدی یا اعتبار سرویس تعیین می‌شود.

عواملی که در تصمیم دربارهٔ پاداش اثر دارند، همان‌هایی‌اند که در سطح‌بندی شدت آمد، به‌علاوهٔ کیفیت گزارش و نخستین بودن یافته. گزارشی که مسیر بازتولید روشن و اثبات مفهوم کم‌خطر دارد، کار رفع را سریع‌تر می‌کند و این در قدردانی دیده می‌شود. هماهنگی پاداش فقط از طریق security@iranclaud.ir انجام می‌شود.

بهترین راه آزمایش، حساب جداگانه‌ای است که فقط برای همین کار می‌سازید. با ثبت‌نام یک حساب آزمایشی بسازید و اگر برای آزمایش به دو حساب نیاز دارید، مثلاً برای بررسی دسترسی یک کاربر به منابع کاربر دیگر، هر دو حساب را خودتان بسازید. این‌طور هیچ دادهٔ واقعی مشتری درگیر نمی‌شود.

برای آزمایش‌هایی که به سرور نیاز دارند، کوچک‌ترین سرور ابری امروز ساعتی ۱٬۱۰۰ تومان است، یعنی حدود ۲۶٬۴۰۰ تومان در یک شبانه‌روز. پس از پایان آزمایش سرور را حذف کنید؛ خاموش کردن هزینه را متوقف نمی‌کند. لطفاً از این سرورها برای اسکن انبوه یا حمله به اهداف دیگر استفاده نکنید؛ این کار تخلف از سیاست استفادهٔ مجاز است.

API ایران‌کلاد زیر مسیر /api/v1 در دسترس است و با توکن‌هایی کار می‌کند که از پنل می‌سازید. هر توکن می‌تواند فقط به بخش‌های مشخصی دسترسی داشته باشد، به IP خاصی محدود شود و تاریخ انقضا داشته باشد. پس یکی از مهم‌ترین پرسش‌ها این است: آیا توکنی با دسترسی محدود می‌تواند کاری بیرون از دسترسی خود انجام دهد؟

برای آزمایش، چند توکن با دسترسی‌های مختلف بسازید و رفتار هرکدام را مقایسه کنید. نحوهٔ ساخت و استفادهٔ توکن در شروع کار با API آمده است. نرخ درخواست را معقول نگه دارید؛ آزمایش API هم مشمول ممنوعیت تست بار و حملات از کار انداختن سرویس است.

بعضی گزارش‌ها با وجود درست بودن، در برنامه قدردانی نمی‌گیرند. رایج‌ترین دلیل، تکراری بودن است: نخستین گزارش معتبر ملاک است. دلیل دیگر نبود اثر امنیتی واقعی است، مثل گزارش نسخهٔ یک نرم‌افزار بدون آسیب‌پذیری قابل بهره‌برداری، یا نبود یک هدر توصیه‌شده بدون سناریوی حمله.

گزارش‌های خروجی خام ابزارهای اسکن خودکار بدون بررسی و اثبات هم معمولاً قابل استفاده نیستند. اگر ابزاری چیزی پیدا کرده، آن را دستی بازتولید کنید و اثرش را توضیح دهید. و البته یافته‌هایی که با نقض قواعد، مثل دسترسی به دادهٔ دیگران یا حملهٔ از کار انداختن سرویس، به دست آمده باشند، پذیرفته نمی‌شوند.

دیوار افتخار هنوز خالی است و این را پنهان نمی‌کنیم. به محض ثبت نخستین گزارش‌های معتبری که گزارش‌دهندگانشان مایل به ذکر نام باشند، فهرست در همین صفحه منتشر می‌شود. ذکر نام کاملاً اختیاری است و می‌توانید نام واقعی، نام مستعار یا نشانی صفحهٔ شخصی خود را انتخاب کنید.

اگر ترجیح می‌دهید ناشناس بمانید، گزارش شما همان‌قدر جدی بررسی می‌شود. تنها چیزی که لازم داریم، یک نشانی ایمیل برای پیگیری و هماهنگی است.

قواعد این برنامه همان قواعد سیاست افشای مسئولانه است و تعهد عدم پیگرد هم فقط در همان چارچوب معتبر است. خلاصه‌اش: روی حساب خودتان آزمایش کنید، به دادهٔ دیگران دست نزنید، حمله از کار انداختن سرویس و مهندسی اجتماعی علیه کارکنان انجام ندهید، چیزی روی سیستم باقی نگذارید و تا رفع، جزئیات را عمومی نکنید.

اگر در مرز مجاز بودن یک آزمایش تردید دارید، قبل از انجامش بپرسید. پاسخ دادن به یک ایمیل کوتاه برای ما بسیار ساده‌تر از رسیدگی به حادثه‌ای است که از سوءتفاهم شروع شده باشد. نمای کلی امنیت پلتفرم را هم در صفحهٔ امنیت ببینید.